Entidades HTML

Una referencia de carácter es una forma de escribir un carácter solo con ASCII. Las referencias numéricas sirven para cualquier punto de código Unicode, en decimal (é) o en hexadecimal (é). Las referencias con nombre son más fáciles de recordar: HTML 4 definía 252, que cubrían letras Latin-1 como é, letras griegas, símbolos matemáticos y signos tipográficos como — y …. Curiosamente, ' no estaba entre ellas; venía de XML y solo pasó a ser HTML válido con HTML5.

HTML5 amplió la lista a 2231 referencias de carácter con nombre al absorber el conjunto de entidades de MathML, así que nombres como ✓, ★ y ≂̸ funcionan hoy en todos los navegadores actuales. La cifra incluye grafías heredadas sin el punto y coma de cierre, como &amp y &copy, que los analizadores siguen aceptando por compatibilidad pero que no conviene escribir. El codificador de esta página produce los nombres de HTML 4, ampliamente compatibles, más ', y recurre a una referencia numérica para todo lo demás; el decodificador entrega el texto al analizador del propio navegador, así que entiende los 2231 nombres.

Solo & < > " ' es el ajuste para el trabajo diario: escapa los cinco caracteres que pueden cerrar un nodo de texto o un atributo entre comillas, lo que basta para mostrar un ejemplo de código en una página o colocar texto de usuarios con seguridad dentro de HTML. También todos los caracteres no ASCII convierte además é, € y los emojis en referencias, para el raro canal que no admite UTF-8, como algunas plantillas de correo heredadas o sistemas que estropean las codificaciones. Con nombre, Decimal y Hex solo cambian cómo se escribe una referencia; las tres se decodifican en el mismo carácter. Una página guardada en UTF-8 no necesita entidades para las letras con tilde.

El escape protege el contexto HTML y nada más. El texto insertado en un bloque script, en un manejador de eventos en línea como onclick, en un atributo style o en un href que pueda empezar por javascript: necesita otro tratamiento, y la codificación en entidades por sí sola no evita ahí el cross-site scripting. Frameworks como React escapan el texto por defecto, así que el doble escape es el error más común en las aplicaciones modernas: los usuarios ven & donde debería haber un ampersand. Para quitar las etiquetas por completo, convierta el marcado con HTML a TXT; para escapar dentro de URL, use Codificar URL.